Neutralisation insuffisante des caractères point et dollar dans les chemins LINQ

Veille sécuritéBackend & données

P3Élevée

Le pilote MongoDB C# transmet certains caractères `.` et `$` dans des noms de clés et chemins de champs issus de requêtes LINQ sans les neutraliser. Une entrée utilisateur peut ainsi rediriger des requêtes ou mises à jour vers d’autres champs, exposer des documents ou rendre certaines données illisibles; mettre à jour vers la version corrigée.

IdentifiantCVE-2026-114648

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif3.13.0

Source : NVD — CVE-2026-114648

Analyse technique

L’avis GitHub GHSA-2xqr-fxmx-2cmf associe cette famille de défauts à des versions >= 2.14.0 et < 3.13.0; les détails CVE fournis mentionnent clés de dictionnaires, champs et identifiants de filtres de tableau.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-10-22 à 19:17:38.567 UTC, soit 21:17:38.567 +02:00, dans la période demandée; la mise à jour ultérieure du 2026-10-23 est hors période.

ImpactAccès à des documents hors cible, mises à jour élargies ou données stockées devenues illisibles.

Version corrigée3.13.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

Publication2026-10-22T21:17:38.567+02:00

Action recommandée

Mettre à jour vers le pilote MongoDB C# 3.13.0 ou ultérieur; ne pas laisser des utilisateurs non fiables déterminer les clés ou identifiants transmis aux chemins LINQ.

Sources

NVD — CVE-2026-114648

Priorisation DFS : P3 · 1 source(s).